Definição
HTTPS é a versão segura do protocolo HTTP, usada para trocar dados entre sistemas e servidores na internet de forma criptografada. Ele combina o HTTP com o TLS, garantindo que as informações não sejam lidas nem alteradas no caminho e que o servidor acessado seja realmente quem diz ser. É obrigatório em integrações fiscais por API.
Também conhecido como: HTTPS, Hypertext Transfer Protocol Secure, HTTP seguro, HTTP sobre TLS, HTTP over TLS, HTTP sobre SSL
O que é HTTPS, em termos simples?
HTTPS significa Hypertext Transfer Protocol Secure, ou protocolo de transferência de hipertexto seguro. É o mesmo HTTP usado para navegar em sites e chamar APIs, mas com uma camada de proteção adicional chamada TLS.
Imagine que o HTTP é um cartão-postal: qualquer pessoa no caminho pode ler o que está escrito. O HTTPS coloca esse conteúdo dentro de um envelope lacrado, que só o destinatário consegue abrir. Por isso, endereços que começam com https:// indicam uma conexão protegida.
Como o HTTPS funciona?
Antes de qualquer dado ser enviado, o cliente (por exemplo, um ERP) e o servidor fazem uma negociação inicial, chamada handshake. Nela, o servidor apresenta um certificado digital que comprova sua identidade, e os dois lados combinam chaves de criptografia exclusivas para aquela conexão.
A partir daí, tudo o que trafega, incluindo cabeçalhos, tokens de autenticação e o corpo da requisição, segue criptografado. Se alguém interceptar a comunicação, verá apenas dados embaralhados, sem utilidade.
Por que o HTTPS é essencial na emissão fiscal por API?
Uma requisição de emissão fiscal carrega informações sensíveis: dados de clientes, valores de venda, CNPJs, tributos e, em alguns casos, o próprio certificado digital A1 convertido em Base64. Transmitir isso sem criptografia exporia a empresa a vazamentos e fraudes.
Além disso, credenciais como API Key ou Bearer token vão no header de autenticação de cada chamada. Sem HTTPS, essas chaves poderiam ser capturadas e usadas por terceiros para emitir ou cancelar notas em nome da empresa. Por isso, APIs fiscais sérias recusam conexões que não sejam HTTPS.
Qual a diferença entre HTTP, HTTPS e TLS?
O HTTP define as regras da conversa entre cliente e servidor: métodos como GET e POST, códigos de status e formato das mensagens. O TLS é o protocolo de segurança responsável pela criptografia e pela verificação de identidade.
O HTTPS é justamente a união dos dois: o HTTP funcionando por cima de uma conexão TLS. Já o mTLS é uma variação em que, além do servidor, o cliente também apresenta um certificado para provar quem é.
O HTTPS também vale para webhooks?
Sim. Quando a API fiscal avisa o sistema do cliente que uma nota foi autorizada ou rejeitada, ela envia uma requisição para uma URL de webhook. Essa URL deve usar HTTPS para que o status, o XML e outros dados cheguem protegidos.
Para reforçar a segurança, muitos provedores combinam HTTPS com assinatura HMAC nos webhooks, permitindo ao sistema receptor confirmar que a mensagem veio mesmo da API e não foi alterada.
Exemplos de HTTPS
- Um ERP envia o payload de emissão de uma NF-e para o endpoint https://api.exemplo.com/nfe, e todos os dados da venda trafegam criptografados até a API fiscal.
- Uma plataforma de serviços cadastra a URL https://minhaplataforma.com/webhooks/nfse para receber automaticamente o status de autorização das NFS-e emitidas.
- Um desenvolvedor tenta chamar a API usando http:// por engano e recebe um erro, pois o servidor só aceita conexões HTTPS.
- Ao enviar um certificado digital A1 em Base64 para cadastro de uma nova empresa emissora, o arquivo é protegido pela criptografia do HTTPS durante o envio.
Perguntas frequentes
Posso integrar uma API fiscal usando apenas HTTP?
Não é recomendado e, em geral, não é permitido. APIs fiscais costumam aceitar somente HTTPS, porque as requisições levam credenciais, dados de clientes e informações tributárias que precisam ser protegidas contra interceptação.
O HTTPS deixa a integração mais lenta?
O impacto é pequeno. Existe um custo no handshake inicial, mas recursos como keep-alive reaproveitam a conexão em várias requisições, tornando a diferença de latência praticamente imperceptível no dia a dia.
O certificado do HTTPS é o mesmo certificado digital A1 da empresa?
Não. O certificado do HTTPS identifica o servidor e protege a conexão. O certificado A1 identifica a empresa emissora e é usado para assinar digitalmente o XML dos documentos fiscais.
Só usar HTTPS já garante a segurança da integração?
Não sozinho. O HTTPS protege o transporte dos dados, mas também é preciso guardar bem as chaves de API, controlar permissões de acesso, validar webhooks e fazer rotação periódica de credenciais.
Atualizado em · Como produzimos este glossário